Летели недавно самолетом Сингапурских авиалиний. Я и мой товарищ сидим на соседних местах, под ногами бутылка виски перекатывается, ждет своего часа. Стюардессы разнесли соки-воды, мы водичку выпили, стаканы, понятное дело, припасли. Через некоторое время подбегает стюардесска, и вот такой диалог получается:
Стюардесса: Разрешите, я заберу пустые стаканы?
Мы: Спасибо, не надо, оставьте пожалуйста.
Стюардесса: Вам действительно нужны пустые стаканы? Или, все-таки, мне их забрать?
Мы: Нет-нет, пожалуйста, оставьте нам стаканы!
Стюардесса: А можно узнать, вы откуда?
Мы: Из России.
Стюардесса: Вы из России! Ради бога, объясните мне, почему вы, русские, никогда не возвращаете пустые стаканы?

Никогда не критикуйте супругу за отсутствие интеллекта.
Может быть, именно это и помешало ей выбрать мужа получше.

История одной компьютерной войны

Данная заметка — сокращенный пересказ почти 10-летнего эпоса о находчивости и предательстве, изобретательности и хитрости, происходящих от человеческой лени. Началось все с того, что на неком айтишном факультете некого университета запустили для контроля знаний учащихся по одному из семестровых курсов систему дистанционного обучения. Дальнейшая борьба представляла из собой пошаговую стратегию с фазами в семестр, причем со стороны студентов каждый раз были новые люди со свежими идеями.


Факультет: Раз уж обучение предполагалось дистанционное, то и контрольные работы (тесты) отпущены вам на проведение дома в удобное для вас время.
Студенты: Отлично! Все приходим в общежитие и сдаём тесты командами. Можно и вовсе посадить умного товарища сдавать за всю группу по очереди в обмен на какие-нибудь плюшки.

Факультет: Что-то тут не так. Давайте в этом году вы будете все-таки сдавать тесты в фиксированное время в аудиториях факультета. Кстати, как и в прошлом году, перед тестом можно подготовиться, сдавая тренировочный тест любое число раз.
Студенты: Отлично! Мы написали скрипт, который сдает случайным образом тренировочный тест, пока не получает за него оценку в 100%. Выбранные ответы запоминаются и используются при дальнейших попытках, пока не будет полностью извлечена вся база вопросов. Дальше ее можно зазубрить, благо она не большая.

Факультет: Больше вопросов! Извлекайте на здоровье, больше выучите.
Студенты: Мы создали сайт с идентичным интерфейсом, который проксирует наши запросы к системе дистанционного обучения, подправляя наши ответы на нужные. Без анализа весьма схожей адресной строки незаметно, что мы на другом сайте.

Факультет: Система дистанционного обучения находится в локальной сети. Отключить к чертям внешний интернет в классах!
Студенты: Не страшно. Мы притащили на компы javascript, который при прохождении теста показывает правильный ответ в статусной строке браузера.

Студент Х: Извините, а мне вот система поставила 68 баллов, а должна была 78. Вот у меня распечатка с полным дампом ваших баз вопросов, в ней написано, что я ответил правильно, так что…
Факультет: Да вы вконец обнаглели! Нельзя было показывать вопросы до теста. В этот раз мы предоставили вам 2 пула различных вопросов — для тренинга и для собственно теста. Кстати, больше нельзя локально хранить никакие файлы — это бездисковые станции, и они по-прежнему без доступа к интернету, а все USB-порты спереди и их очень хорошо видно.
Студенты: Паника! Паника!

Факультет: Что-то у вас оценки стали ниже некуда! Возможно, со всей этой гонкой вооружений мы понаписали слишком сложные вопросы… Давайте вы на всякий случай получите 3 дополнительных попытки на пересдачу каждого теста.
Студенты: Интересное дело. У нас тут у одного умельца курсовая работа по распознаванию образов, а еще у вас флоппи-приводы работают.
Факультет: Ну и что?
Студенты: А мы принесём на дискете программу, которая прячется в трей и коллекционирует скриншоты.
Факультет: А что дальше? У вас будут вопросы, но не ответы же. Да и как вы соберете все вопросы?
Студенты: Разделение труда и чёткая организация. Армия смертников придет на пересдачу теста и честно завалит первую попытку, собрав коллекцию скриншотов. Всю следующую ночь ботаны будут эти скриншоты размечать. Затем на их базе генерится новая программа.
Дежурный по аудитории: Ой, а что это у вас мышь сама по экрану ездит и правильные ответы нажимает?!?!

Факультет: Так дело не пойдет. Все пересдачи после зачетной сессии, отчего вам грозит недопуск до всех экзаменов.
Студенты: Хм, а ведь среди нас есть студенты с кафедры, где обитает администратор системы дистанционного обучения. %username%, а покажи пожалуйста статистику по моей группе. Смотри, можно сесть за вот эту замечательную зараженную трояном машину и ввести свой пароль вот тут. Так, а теперь мы выкачиваем всю базу вопросов нашего года при помощи платной анонимной прокси, на которую зайдем через анонимный WiFi (честное слово, они так и сделали!).

Факультет: Что-то оценки у них подросли, а нарушений никаких не замечено. Наверное, взялись за ум и учат.
Студенты: Ура! Пароль администратора за весь год так и не менялся, мы тупо пользуемся достижениями прошлого поколения.

Студент Х: Извините, а мне вот система поставила 68 баллов, а должна была 78. Вот у меня распечатка с полным дампом ваших баз вопросов, в ней написано, что я ответил правильно, так что…
Факультет: Так, у меня слов нет. Новый пароль, новые вопросы, база вопросов заливается на сервер за 24 часа до начала теста.

Студенты: Хм, а у вас система дистанционного обучения на локальном сервере не обновлялась уже 7 лет, так?
Факультет: Ну да, ну и что с того?
Студенты: Да так, уязвимость одну нашли старенькую незакрытую. От любого юзера логинимся, а потом берем и через специально сформированный URL вытаскиваем из базы вопрос с заданным номером. Кстати, мы украли не только вопросы нашего года нашего курса, доступные нашему администратору, но и вообще все курсы, когда-либо читавшиеся через эту систему на данном сервере. На все это у нас ушло часов 6.
Разработчики системы: Мы не можем накатить новую версию, т.к. аутсорсные дизайнеры еще не закончили рисовать интерфейс.
Факультет: Блин :(

Возможно, последовательность шагов сторон нарушена, да и не все фазы длились по полгода. Однако все описанные подходы и технические средства действительно использовались:
командная сдача
написание бота
фишинг (правда, обманывали не юзера, а наблюдателя)
пользовательский скрипт с ответами
скрытая тулза для сбора вопросов и автоответа
социальная инженерия
взлом

Были, конечно, и более типовые и примитивные инструменты: вики, форумы, группы вконтакте, где выкладывали запомнившиеся вопросы или сделанные через Paint скриншоты. Один человек и вовсе получил строгий выговор за фотографирование монитора сдающей группы через прозрачную стену.

Студенты способны на все, лишь бы не сдавать честно, но студенты-айтишники намнооого опаснее. Такая вот история. Если тут есть разработчики подобных систем или люди, имеющие отношение к учебному процессу, задумайтесь, от всего ли вы себя обезопасили — всё это не мифические потенциальные угрозы, а вполне осуществимые на практике вещи.

UPD. Меня поправили, что надпись поверх адресной строки выводилась не пользовательским скриптом для браузера, а программой на Delphi. Кроме того, в минувшем году аналогичное решение также было разработано и выполнено как плагин к браузеру.

Рассказал: Z0K

Еду в электричке. Народу немного, человек 10, все мужского пола. Одну
скамейку занимает монументальный дед, огромный, с бородой как у Льва
Толстого. При нем внучок лет 6. Рядом стоит здоровый пластиковый пакет.
Начинается длинный перегон, часа полтора без остановок. Дед достает из
пакета бутылку водки 1,75, куль шоколадных конфет и связку одноразовых
стаканчиков, степенно наливает в один из них водку, вручает мальчонке
вместе с конфетой и молча, важно, указывает на одного из пассажиров.
Мальчишка подходит к нему, что-то говорит и отдает стакан с конфетой.
Удивленный пасажир выпивает. Внук опять к деду, операция повторяется,
только палец деда указывает на другого пассажира, потом на третьего…
По вагону разливается недоумение, те, кто уже выпил, улыбаются, малец
исправно разносит… Моя очередь все ближе и ближе. Парнишка подбегает,
протягивает допинг: «Дедушка просит вас выпить, у него сегодня день
рождения». Поднимаю стакан, как бы чокаясь, дед с достоинством кивает,
я выпиваю, не скрою, с большим удовольствием. Вскоре все пассажиры
охвачены. Дед выпивает последним. Все начинается по второму кругу.
Бутыль кончается, дед достает вторую. Я вспоминаю, что у меня в карма
не лежит совершенно новый, красивый и практичный брелок-фонарик, вручаю его
парнишке и прошу подарить деду. Дед делает мне респект - указующий жест
перстом вне очереди. Пример вдохновляет, пассажиры начинают копаться по
торбам и карманам и дарить деду сувениры - замечены авторучка,
калькулятор, будильник с рекламой «Нескафе», отличная импортная рулетка,
магнитофонная кассета… Парень мечется как молния. У выхода сидит
бомжеватый мужичок, уже здорово под хмельком, ему тоже хочется сделать
юбиляру приятное, но ничего материального он в карманах не находит.
Тогда он причесывается пятерней, встает, приосанивается как Кобзон и
тонким тенором - ХЭППИ БЕЗДЭЙ ТУ Ю, ХЭППИ БЕЗДЭЙ ТУ Ю-Ю-Ю…….

XXX: у меня коллега в отпуске, мы на его место посадили игрушечного оленя. :)

YYY: полноценная замена?

Вот как-то зимним вечером, читая фидошные эхи и вспоминая личный опыт общения с компьютером, скомпилировал признаки настоящего программиста.

* Настоящий программист на вопрос, может ли он это сделать, всегда отвечает "да", и лишь потом начинает думать, как.
* Настоящий программист лучше пользователей знает, что им нужно.
* Настоящий программист способен выжить в течение месяца, питаясь крошками, застрявшими в клавиатуре.
* Настоящий программист никогда не тестирует свои программы. Так поступают только неуверенные в себе люди.
* Настоящий программист никогда не пишет комментариев в своих программах. Он считает, что если программу трудно написать, то и читать ее должно быть ни чуть не легче.
* Настоящий программист никогда не пишет программу правильно с первого раза.
* Отладку программы настоящего программиста не может осуществить даже настоящий программист.
* Настоящего программиста реально трудно заставить работать. Но если он добирается до компьютера, то проводит за ним не менее 30 часов без перерыва.
* Настоящий программист никогда не пользуется графиком работы, считая, что они нужны только менеджеру проекта. А настоящие программисты любят держать своих начальников в волнении.
* Настоящий программист никогда не работает с 9 утра до 5 вечера. Если вы увидите настоящего программиста после 9 утра, значит, он работал всю ночь.
* Настоящий программист никогда не пишет документацию к программе. Документация – это для глупцов, которые не могут читать листинги или объектные модули.
* Настоящий программист никогда не пишет руководство по работе с программой. Пользователь должен полагаться только на свое везение и сам взять от программы то, что сможет.
* Настоящий программист никогда не восстанавливает исходные тексты после случайного стирания – все равно когда-нибудь пришлось бы переписывать всю эту кашу.
* Настоящий программист не пишет на Васике. Ведь на самом деле сложно встретить настоящего программиста младше 12 лет.
* Настоящий программист не пишет на Пацкале и прочих научных языках. Строгий контроль типов в них хорош лишь для людей со слабой памятью.
* Настоящий программист никогда не делает резервных копий.
* Настоящие программисты любят рекурсию, полный перебор, файлы типа pkunzip.zip и сообщения вроде "Keyboard not detected. Press Enter to continue" и "CPU not found. Software emulation".
* Настоящие программисты не пишут прикладных программ, ибо прикладные программы – удел слабаков, не способных заниматься системным программированием.
* На столе у настоящего программиста всегда лежит клочок бумаги с цифрами в двоичном и шестнадцатеричном формате, карикатурой начальника и прочими странными каракулями.
* Настоящий программист сгоняет муху с монитора курсором.
* Настоящий программист уверен, что на порядок – это в два раза, а в километре – 1024 метра. Настоящий программист всегда ошибается в количественном счете, потому что начинает считать с нуля.
* Настоящий программист любит поэкспериментировать. Некоторые экспериментируют с алкоголем. Настоящий программист знает, что когда пьешь водку, перестаешь видеть детальный план программы, и можно сосредоточиться на структурной концепции. Таким образом, программа начинает работать в целом, прокалываясь на мелочах. Когда пьешь пиво, то резкость программы увеличивается и можно легко найти самые мелкие и досадные проколы, но становится абсолютно не ясно, что она делает в целом. Когда пьешь коньяк, то скорость восприятия данных с монитора заметно падает при резком увеличении генерации гениальных идей. При этом на утро становится совершенно не ясно, что и как делает программа, но понятно, что написанный код – абсолютно гениален. Когда пьешь вино, то начинаешь думать о смысле жизни. Впоследствии можно даже переписать программу с нуля на ассемблере или сразу в машинном коде.
* Настоящий программист любит читать и писать байки и анекдоты про настоящих программистов и размышлять о высоких материях.

P.S. Пацкалистов прошу не обижаться, сам язык уважаю, гротеск является частью жанра.

Поступает по скорой больной - пьяный и буйный. Шумит, ругается всякими словами, персонал обижает. Дежурного доктора будят. Дохтур (мужичок нехилых размеров) взъерошенный спросонья и с мутными глазами входит в бокс и интересуется что там за шум. Увидев его, пациент сразу успокаивается и начинает медленно сползать под топчан, лепеча что-то типа "Да нет, ничего, просто животик у меня прихватило". Дохтур посмотрел больного, вышел из бокса, и только тогда дежурная сестра заметила ему, что вместо фонендоскопа он спросонья в темноте повесил на шею кипятильник.

- Бывают ли бездонные ёмкости с жидкостью?
- Бывает. Банка с серной кислотой. В этом можно убедиться засунув туда руку.

Сисадмин:
- Ну и пусть говорят, что использовать в качестве пароля имя своего кота - дурной тон! RrgTt_fx32!b, кысь-кысь-кысь...

- Почему машины скорой помощи называются каретами?
- По скорости приезда и по комфорту.